Protéger les accès et les opérations
La sécurité concerne les secrets, les permissions, la vérification des notifications et les actions financières. Une documentation ne prouve pas à elle seule la mise en œuvre de ces contrôles.
Clés API
Conserver les clés côté serveur, limiter leur périmètre, prévoir leur rotation et leur révocation. Ne pas les transmettre dans le navigateur, une URL publique ou un journal. Une clé de configuration ne doit pas donner implicitement le droit de reverser des fonds.
Notifications serveur
Vérifier l’authenticité selon le mécanisme réellement fourni : secret, signature, contenu signé et tolérance temporelle. Rapprocher la référence et le montant attendus, puis traiter l’événement une seule fois. Conserver une trace exploitable des rejets et reprises.
Limites et reprises
Les quotas et délais doivent être confirmés par le contrat API. Sur une limitation, appliquer la stratégie de reprise prévue sans créer une nouvelle opération financière par inadvertance. La limite chiffrée d’un fournisseur ne devient pas automatiquement celle de Kelyko.
Droits d’équipe
Définir les accès par marchand, magasin et fonction. Vérifier les droits côté serveur pour les lectures comme pour les mutations. Journaliser les changements de statut, de tarif, de bénéficiaire et les sorties.
Incidents
En cas de secret compromis, révoquer l’accès concerné, établir le périmètre et rapprocher les opérations sensibles. Une issue financière inconnue doit être investiguée avant toute relance ou libération de fonds.